しらべベース / 全サイトを探すアカウント防犯しらべの条件検索・比較保存範囲・台帳

LIFF SDK XSS（CVE-2026-112148）とは？対象バージョンと2.31.1への更新を一次情報で解説（2026年10月22日公表）

・ 更新 ・ アカウント乗っ取り・注意喚起速報ニュース編集部（AI 執筆）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングLIFF SDKLINE

この記事のポイント: LIFF SDK 2.20.0〜2.31.0 に、細工した URL を開くと任意のスクリプトが実行される DOM ベース XSS（CVE-2026-112148・CVSS v4.0 5.1）が存在します。認証トークンの漏えいにつながる恐れがあり、修正版 2.31.1 への更新が対策です（2026年9月30日提供・JVN は2026年10月22日注意喚起）。

LIFF SDK XSS（CVE-2026-112148）とは？対象バージョンと2.31.1への更新を一次情報で解説（2026年10月22日公表）

テーマ: LINE アカウント乗っ取りの対処法・復旧と予防

LINE のミニアプリ基盤「LIFF SDK」（LINE ヤフー株式会社）に、細工した URL を開くことでブラウザ上で任意のスクリプトが実行されるクロスサイトスクリプティング（DOM ベース XSS・CVE-2026-112148）が存在し、修正版 LIFF SDK 2.31.1 で対処済みです（出典: LINE セキュリティアドバイザリ、取得日 2026年10月24日、出典: JVN（JVNVU#91023667））。対象は LIFF SDK 2.20.0 から 2.31.0 で、開発者は速やかな更新を呼びかけています（出典: LINE 開発者向けリリースノート）。

何が起きたか（要点）

LINE ヤフーが提供する LIFF SDK（LINE Front-end Framework）の 2.20.0〜2.31.0 に、DOM ベースのクロスサイトスクリプティング（CWE-79）が存在します。攻撃者は細工したクエリパラメータを含む URL をユーザーに開かせることで、LIFF アプリのエンドポイントと同じ発行元の上で任意の JavaScript を実行させる可能性があります（出典: LINE セキュリティアドバイザリ、取得日 2026年10月24日）。要点は次のとおりです。

影響（何が起きるか）

脆弱性が成立するのは、外部ブラウザで細工したクエリパラメータを含む LIFF URL を開いたときです。その際、LIFF アプリのエンドポイントと同じ発行元上で JavaScript が実行される可能性があり、JavaScript から参照できる認証トークンやアプリデータの漏えい、ユーザーのセッションを使った不正な操作につながる恐れがあります（出典: LINE セキュリティアドバイザリ、取得日 2026年10月24日）。JVN も「当該製品を使用しているサイトにアクセスしたユーザーのウェブブラウザ上で、任意のスクリプトを実行される可能性がある」としています（出典: JVN）。認証トークンが読み取られれば、そのままアカウント乗っ取りの入口になる点が重要です。

自分の環境が該当するか（対象の確認）

対象は LIFF SDK の 2.20.0〜2.31.0 です。導入方法ごとの確認と対応は次のとおりで、開発者が 4 通りの手順を公表しています（出典: LINE セキュリティアドバイザリ・LIFF リリースノート、取得日 2026年10月24日）。

  1. CDN の edge パス（…/liff/edge/2/sdk.js）を使っている場合: 自動的に更新されるため追加作業は不要だが、配布中のアプリが修正版を読み込んでいるか確認する
  2. CDN の固定バージョンパスを使っている場合: パスのバージョンを 2.31.1 以降に書き換える
  3. npm パッケージ（@line/liff）を使っている場合: 依存関係とロックファイルを更新し、ビルド・デプロイし直す
  4. SDK を自前で配布している場合: そのコピーを修正版に差し替える。アプリ側のキャッシュに影響を受ける版が残る場合は、デプロイとあわせてキャッシュも更新する

開発者・運用者が今やること（2.31.1 への更新）

開発者は2026年9月30日、LIFF v2.20.0〜v2.31.0 を非推奨（deprecated）とし、「LIFF アプリを細工したクエリパラメータ付き URL で外部ブラウザから開いたときに問題が起きる」と条件を明示したうえで、LIFF v2.31.1 への即時更新を案内しています（出典: LINE リリースノート、取得日 2026年10月24日）。2.31.1 の変更は「安全性を高める内部処理の修正」で、LIFF アプリの機能変更はありません（出典: LINE リリースノート）。開発者は影響の詳細を後日提供するとしており、2026年10月20日時点のアドバイザリ更新で上記の条件と更新手順が示されています（出典: LINE セキュリティアドバイザリ）。運用側は、自社サイトが LIFF を組み込んでいるかを確認し、該当するなら 2.31.1 以降へ更新したうえで、更新後にログが残る不正な操作がないかを確認すると有効です。

よくある質問

Q. 自分のサイトが対象か分かりません。何を確認すればよいですか？

ページが読み込んでいる LIFF SDK のバージョンを確認します。2.20.0〜2.31.0 なら対象です。CDN の edge パス利用なら自動更新のため、実際に 2.31.1 以降が配布されているかを見るのが確実です（出典: LINE、取得日 2026年10月24日）。

Q. 放っておくとアカウントを乗っ取られますか？

直接「乗っ取れる」と公表されているわけではありませんが、LIFF アプリの発行元上で JavaScript が実行されると、JavaScript から参照できる認証トークンやアプリデータの漏えい、ユーザーのセッションを使った不正な操作が報告されています。トークンの漏えいはアカウント乗っ取りにつながり得るため、対象バージョンは更新が必要です（出典: LINE セキュリティアドバイザリ）。

Q. ユーザー側にできますか？

今回の対処はアプリ開発者側の SDK 更新が基本です。ユーザー側は、身に覚えのない LIFF URL を開かない、送信元を確認してから開く、といった一般的な対応が挙げられます。開いてしまって心当たりがある場合は、パスワードの変更と各サービスのログイン履歴・連携アプリの確認をおすすめします（出典: JVN・LINE、取得日 2026年10月24日）。

本サイトでは、アカウント乗っ取りが疑われるときの初動や被害拡大を防ぐ手順を対処ガイドにまとめています（内部リンク: アカウント乗っ取り対処ガイド・お問い合わせ）。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針